NSA geeft developers tips over beveiliging software supply chain

Volgens de NSA hebben recente aanvallen zoals die tegen SolarWinds en zijn klanten en kwetsbaarheden als Log4j duidelijk gemaakt dat er zwakke plekken zitten in software supply chains. "Dat is een probleem dat zowel bij commerciële als opensourcesofware speelt en zowel private als overheidsorganisaties raakt", aldus de NSA in het document, waar ZDNet over schrijft. Het is daarom belangrijk dat duidelijk is dat de softwareketen potentieel ingezet kan worden door staatsactoren die vergelijkbare tactieken, technieken en procedures gebruiken.

Het nieuwe document is opgesteld door de Enduring Security Framework (ESF), een werkgroep met publieke en private organisaties, geleid door de NSA en de CISA. De ESF onderzocht alle gebeurtenissen in aanloop naar de SolarWinds-aanval en concludeerde dat er een set aan best practices moest komen, speciaal voor developers. Het document met richtlijnen bevat deze nu. Zo is er aandacht voor hoe er veilige code gemaakt wordt en voor het verifiëren van componenten van derde partijen. Daarnaast worden handvaten geboden voor het versterken van de build-omgeving. 

In de toekomst komen er nog twee andere versies van het document, specifiek voor softwareverkopers en voor klanten.